GMX遭重入漏洞攻击损失超4000万美元 安全团队披露资金追踪细节

去中心化交易协议GMX近日遭遇重大安全事件。攻击者利用合约中的可重入漏洞实施攻击，获利约4200万美元。Beosin安全团队已完成漏洞分析及资金流向追踪，确认被盗资产仍存于攻击者控制的多个地址中。

攻击手法解析

根据Beosin披露的技术细节，攻击者首先通过OrderBook合约的executeDecreaseOrder函数发起重入攻击，绕过Timelock合约的杠杆限制。随后利用闪电贷借入USDC质押铸造GLP，同时建立BTC空头仓位，人为抬高GLPmanager合约的AUM估值，最终以异常价格赎回GLP获利。

两大核心漏洞曝光

安全分析显示，本次事件暴露出两个关键问题：一是合约缺乏可重入保护机制，导致攻击者能在赎回过程中修改内部状态；二是复杂的赎回逻辑未设置充分的安全校验。尽管GMX此前经过多次审计，这一组合漏洞仍被忽视。

资金流向追踪结果

Beosin Trace追踪系统确认，攻击者地址0x7d3bd50336f64b7a473c51f54e7f0bd6771cc355将所得资产通过跨链协议转移。目前价值3200万美元的ETH分散在4个以太坊地址，另有1000万美元资产滞留Arbitrum网络地址0xdf3340a436c27655ba62f8281565c9925c3a5221。

此次事件再次凸显复杂DeFi协议的安全挑战。专业审计机构建议，项目方需建立多层次防御体系，特别针对重入攻击等经典漏洞实施专项检测。Beosin团队此前已为SyncSwap、LeverFi等项目完成安全审计，其技术负责人表示将持续监控被盗资金动向。